[취재] 안철수연구소 클라우드 보안 서비스 전략발표회

안철수연구소(대표 김홍선, http://www.ahnlab.com)는 김홍선 대표이사 등 경영진이 참석한 가운데 서울 프레스센터에서 '클라우드 보안 서비스 전략 기자발표회'를 열고, 차세대 클라우드 보안 서비스의 신기술 개발에 성공했다고 공식적으로 천명했다.

'ACCESS(AhnLab Cloud Computing E-Security Service)'라 명명된 클라우드 보안 서비스는 기존 ASEC(시큐리티대응센터)의 악성코드 수집 및 분석 능력과 CERT(침해사고대응팀)의 위협 모니터링 및 대응 서비스를 지능형 기술로 받쳐주는 플랫폼이다.

ACCESS 플랫폼은 기존의 각종 보안 관리 데이터베이스(DB)와 유기적으로 결합하여 악성코드 수집과 분석, 배포 과정을 혁신적으로 개선하며, 종합적인 대응 체제가 가능하게 된다. 또한 안철수연구소의 차세대 비즈니스 모델로도 기능하게 된다.

▲ 최근 DDOS 사태로 발표회장은 시작부터 자리가 꽉 찬 상태였다.

지난 주 발생한 DDoS 복합 공격의 사례와 같이 최근 보안위협은 악성코드와 DDoS, 해킹 등을 복합적으로 활용한 형태로 전개된다. 특히 치밀한 계획으로 타겟 공격을 수행하기 때문에 항상 새로운 수법이 동원되며, 그런 점에서 범용으로 대처하는 제품이나 장비만으로는 이러한 신규 공격에 대처하는데 뚜렷한 한계가 노출됐다.

이에 보안전문기업인 안철수연구소는 2008년부터 궁극적인 대안으로 클라우드 아키텍처를 집중적으로 연구해 왔으며, 그 결과 ACCESS를 발표하게 된 것이다. ACCESS의 핵심은 ‘종합위협 분석엔진’이다. 여기에서는 위협의 근원이 되는 악성코드와 해킹 기법을 실시간으로 수집하여 실시간 탐지 및 치료는 물론 시그니처 DB를 다이나믹하게 생성한다.

이 결과는 기존 ASEC과 CERT, 그리고 유관 전문 기관과의 업무와 실시간으로 연계되어, 기존의 프로세스의 정확성을 제고하고 시간을 크게 단축시킨다. 특히 이번 DDOS 사태는 그동안 안철수연구소가 R&D 역량을 집중시켜 개발해온 ACCESS 플랫폼의 방법론이 옳음을 확인시켜준 기회이기도. 타국에서는 더 큰 피해가 있었을 공격을 최소한의 피해로 막아, 현재 해외에서도 관심이 증폭되고 있다.

각 사용자와 제품에 맞게 서비스는 이 엔진을 중심으로 구성되는 서비스 프레임워크를  통해 진행되어, 각 사용자에 적합한 서비스와 제품으로 연계가 이루어진다. 이를테면 개인 사용자를 위해서는 V3 365 클리닉, 보안전문가가 없는 중소기업을 위해서는 V3 MSS가 클라우드 서비스를 제공한다.

한편, DDoS 방지를 포함한 네트워크 보안 장비인 트러스가드, PC 보안관리 시스템인 '폴리시센터(APC)', 24시간 관제 시스템과도 실시간으로 클라우드 엔진의 분석 결과가 공유됨으로써 일관성있고 종합적인 대응 체계를 구성하게 된다. 이러한 포트폴리오 체계를 바탕으로 보안 체계를 정비, 구축하면서 동시에 안철수연구소가 존립할 가능성이 공고해진다.

▲ 안철수연구소 김홍선 대표

김홍선 대표는 "최근 클라우드 컴퓨팅은 IT의 화제다. 그런데, 정보 보안이야말로 클라우드의 개념이 가장 필요로 하는 분야다. 왜냐하면 최근 위협은 글로벌하고 입체적으로 전개되고 있기 때문에, 이런 위협에 대해 실시간에 대응하고, 더 나아가 사전 예방하기 위해서는 위협의 분석과 대응이 클라우드에서 처리되는 것이 최선의 선택"이라며 클라우드 전략을 선택한 배경에 대해 밝혔다.

이어 "이번 DDoS 대란에서 입증되었듯이, 최근의 공격은 단순히 제품이나 장비로만 막을 수 없으며 보안관리와 서비스가 중요하다"며, "악성코드와 DDoS 공격이 결합하는 등 보안위협이 복합화 지능화되고 있어 악성코드 분석력과 보안관제 서비스 등 전천후 통합보안 서비스가 필요하다. 무엇보다 보안은 선택이 아닌 필수"라고 발표회장에서 강조했다.

▲ 안철수연구소가 제안한 'ACCESS' 전략 개요도

ACCESS 플랫폼을 살펴보기에 앞서, 간단하게 '클라우드 보안 서비스'에 대해 짚어보겠다. '클라우드 보안 서비스'는 인터넷 기반의 보안 서비스를 의미하며, 클라우드 컴퓨팅의 등장으로 만들어진 개념이다. 클라우드 컴퓨팅은 인터넷을 구름으로 표현해 그 속에 숨겨진 복잡한 서비스 인프라 구조를 간결하게 제공하는 것이다.

즉, 정보가 인터넷 상의 서버에 영구 저장되고 데스크톱이나 노트북, 휴대용 기기 등의 클라이언트에는 일시적으로 보관되는 환경을 말한다. 클라우드 컴퓨팅은 초기 ASP(Application Service Provider)에서 최근 웹 2.0을 기반으로 확장된 개념인 SaaS(Software as a Service)로 그 다음은 클라우드 컴퓨팅으로 그 흐름이 이어진다. 이러한 클라우드 컴퓨팅 환경에서 사용자는 기술과 인프라에 대한 전문적인 지식이 없어도 쉽게 서비스를 이용할 수 있다.

클라우드 보안 서비스가 주목받는 이유는 대용량 하드웨어와 데이터베이스가 필수인 네트워크 보안 솔루션의 도입 증가, 점점 증가하는 악성코드에 대응하기 위한 보안 제품의 엔진 대형화, 복잡하고 다양한 계층을 파고드는 해킹의 증가 때문이다. 클라우드 보안 서비스의 장점은 도입 과정과 관리가 복잡하지 않으며, 언제든지 필요할 경우 변경이 가능하다는 것이다. 또한 인터넷 기반의 서비스로 제공되기 때문에 별도로 하드웨어를 도입하지 않아도 되며, 필요할 때 바로 주문해서 사용할 수 있다. 저비용이 구현된다.

한편, 안철수연구소는 클라우드 아키텍처에 대한 틀과 방향을 완성한 후, 지난해 하반기부터 클라우드 컴퓨팅(Cloud Computing) 개념이 적용된 실시간 악성코드 탐지/차단 서비스인 '스마트 디펜스(AhnLab Smart Defense)'에 전력한 결과, 신기술 개발에 성공하여 현재 베타테스트 중에 있다. ACCESS 플랫폼은 이러한 기술적인 배경을 바탕으로 구체화된 보안 플랫폼이라 할 수 있다.

우선 '스마트 디펜스'는 세계적 수준의 획기적인 신개념의 탐지 기술이다. 기존 방식이 악성코드 시그니처를 PC에서 처리해왔던 반면 스마트 디펜스의 경우 중앙 서버 관리 방식을 활용함으로써 전세계 악성코드에 대해 실시간 탐지가 가능하다. 즉, 수천만 개의 유형별 파일 DNA (파일의 시그니처) 데이터베이스를 중앙 서버에서 관리하며, PC내 파일이 악성코드인지 여부를 실시간으로 확인해준다.

이 과정은 프로그램 정보, 평판 시스템, 행위(behavior) 기반, 파일간 관계(relation), 악성코드 배포 경로 등의 다양한 분석이 종합적으로 반영된 지능형 시스템으로 구성된다. 또한 파일의 악성 여부를 파악하기 위해 필요로 하는 많은 리소스를 서버에서 수행함으로써 기존에 한계가 있었던 각종 악성코드 대응에 대해 발생 즉시 대처가 가능하다.

7월 중에 출시될 예정인 'V3 365 클리닉 2.5'는 새로운 개념의 실시간 악성코드 대응 기술인 '스마트 디펜스' 기술이 본격 적용되는 첫 사례이다. 각종 위협을 방어하는 보안 소프트웨어를 최신 인터넷 기술을 통해 구현한 것으로 안티바이러스(바이러스/웜/트로이목마/스파이웨어의 진단/삭제), PC방화벽, 개인정보보호, PC 최적화, 트래픽 무제한의 인터넷 하드 등의 기능을 제공한다.

엔진 경량화로 동종 제품 중 가장 빠르고 가볍게 작동하는 것이 특징이며, 보안의 개념을 단편 제품 및 기술 차원에서 고객의 관점으로 바꾸어 온라인 및 오프라인 고객지원과 전문가 서비스, 보안 정보의 올바른 가이드, 긴급 대응 체계 등의 전방위 케어를 통해 보안 위협 요소 제거를 비롯해 종합적으로 PC의 상태를 점검하고 문제를 해결해주는 이른바 ‘종합주치의 서비스’이다.

▲ DDOS 사태는 'msiexec1.exe'라는 한 파일에서부터 시작되었다.

안철수연구소는 이번 DDoS 공격에 긴급하게 대비하기 위해 공식적으로 발표 전이었던 ACCESS 플랫폼과 스마트 디펜스 기술을 활용해서 세계 최초로 DDoS 공격을 근원적으로 차단할 수 있는 방안을 사용했다. 이 기술을 통해 최근 DDoS 악성코드 뿐만 아니라 변종 악성코드 및 아직 알려지지 않은 신종 DDoS 악성코드도 실시간으로 탐지/차단할 수 있었다.

기본적으로 특정 파일이 지정된 임계치 이상의 트래픽 발생과 이상 징후의 행위를 하면 모니터링 센터에서는 해당 파일의 이상 행위가 악성코드인지 여부를 정밀 판독해 실시간으로 업데이트해 DDoS의 확산과 피해를 사전에 방어할 수 있는 구조다. 이러한 분석 정보는 DDoS 방지를 전담할 수 있는 트러스가드와 24시간 관제 서비스에도 정보를 실시간으로 공유해서, DDoS의 근원적 차단에 기여시켰다.

이미 안철수연구소는 지난 주 발생한 DDoS 공격에 대응하는 몇 일간의 밤샘 연구개발 과정에서 DDoS 악성코드에 대한 전용 탐지/차단 신기술을 별도 개발해 지난 10일 배포한 3차 전용백신에 처음으로 적용한 바 있다. 이는 ACCESS의 프레임워크와 스마트 디펜스라는 신기술 엔진을 기반으로, DDoS 공격에 포커스를 맞춘 서비스 프레임워크다.

안철수연구소는 '스마트 디펜스' 기술을 통합백신 서비스인 V3 365 클리닉에 우선 이달 중 적용해 공식서비스할 예정이며 V3 제품군에 단계적으로 탑재할 계획이다. DDoS 전용 신기술은 국내외에 특허 출원하는 한편 별도의 DDoS 전용 솔루션 개발 및 기존 제품 및 서비스 탑재 등에 박차를 가할 예정이다.

또한 웹사이트 안전을 위해 클라우드 보안서비스 개념으로 개발한 위험 사이트 사전 차단 서비스인 '사이트가드(AhnLab SiteGuard)'를 개발해 서비스하고 있다. 따라서 개인들은 악성코드로부터 PC는 무료백신 V3 Lite로, 인터넷 웹사이트 위험으로부터는 '사이트가드'가 안전을 지켜주어 2중 차단 시스템을 완비하게 된다. 아울러 기업에도 사이트가드 프로와 V3 Internet Security 8.0을 공급하고 있다.

안철수연구소에서 고무적으로 여기는 부분은 DDoS 대응 장비인 '트러스가드'와 24시간 관제 서비스 체제로 DDoS 사태에 성공적으로 대응했다는 점이다. 이와 관련해 해외에서는 알자지라, CNN 등 해외 유수의 언론사의 집중조명을 받았다. 국내에서는 '나라망신' 정도로 치부하고 있지만, 해외에서는 이 정도 규모의 사태를 이처럼 빨리 수습한 전례가 없어 의외로 업계에서 높은 평가 받고 있다고 한다.

▲ DDOS 사태 진압에 공을 세운 안철수연구소 인사들이 질의응답 전에 소개되었다.

Q1. DDOS 공격 이후, 복구에 시간이 걸린 이유는?

서비스 대응능력에 따른 것이다. 안철수연구소에서 대응, 관제 서비스를 하는 곳은 거의 정상적으로 운영되었다. 다만 전체적으로 복구가 늦어진 것은 보안업체나 담당마다 각각의 정책이나 대응방식이 존재하는데, 이 부분에 차이가 있었던 듯 싶다.

Q2. 특정 사이트가 공격받을 때에는 관련 서비스가 몽땅 다운된다. 이 문제에 대한 해결책은 무엇인가?

3차 공격이라고 많이 이야기된 일이 있다. 이는 분석을 해서 예고한 바였다. 미리 준비를 해서 그런지, 예전보다는 피해가 적었다. 대응을 하고 있는 것이 과거와 가장 다른 점이라 할 것이다.

그러나 안철수연구소가 공격받을 수 있다는 점에 대해 심각하게 생각하고 있다. 안철수연구소나 DDOS 공격에 대응하는 업체들에 앞으로는 공격이 있을 것이라고 심각하게 고민하고 있다. 때문에 이와 관련해 계획을 세우고 있다.

Q3. 한국 사정을 잘 아는 자의 소행이라는 등 여러 추측 많다. 이 부분에 대해 어떻게 생각하는가?

안철수연구소는 민간기업이라 그걸 추적하는 입장은 아니다. 근원지를 추적하려면 외부로도 찾아가야 하는데, 그런 권한이 없다. 이 부분은 정부에서 할 일이다.

꼭 우리나라 사정을 잘 안다고 해서 우리나라에서 했다고는 볼 수 없다. 이미 장비나 인프라에 대해 해외에서도 잘 아는 상황이라 국적에 상관 있다고는 볼 수 없다.

Q4. 발표회 서두에서 '글로벌하게 종합적인 분석'이라고 표현한 것이 있다. DB 수집 및 분석 능력도 글로벌하게 확장되는 것인지? PC에서의 대응이 느리다보니, 중앙집중형태로 빠르게 처리하려는 것인지?

V3에 시그니처가 더해지는 것은 지속될 것이다. 이번처럼 국지적으로 일어나는 일에 빠르게 대응하는데 집중할 것이다. 국지적으로 1회성이라면 이런 식으로 대응하겠지만, 만약 다회성, 장기적인 위협이라면 시그니처를 바로 업데이트할 것이다.

Q5. 국정원, KISA와 공동대응했는데, 이 부분에서 역할분담은 어떻게 했는가? 국가기관과 같이 일했을 때 수준은 어느정도인지?

정부와는 항상 공조를 해왔다. 지금까지 생기는 일은 계속 공조해왔다. 안철수연구소의 역할은 PC레벨에 있는 악성코드를 리버스 엔지니어링해서 분석하는 것이다. 경쟁력이 있는 부분에 집중했다.

정부는 그 입장에서의 맡은 역할을 수행하게 된다. 거기와 같이 커뮤니케이션을 하면서 대응력을 배양했다. 국정원 등에서 코드 검출된 것 등을 직접 받아 연구한 경우도 있다.

하드디스크 손상에 대한 것은 안철수연구소에서 분석을 했는데, 확인은 국정원에서 소스를 확실하게 줘서 긴박하게 움직여 해결했다. 역할분담은 분석에 대해 안철수연구소에서 많이 해 마치 대응을 주로 한 것으로 알려진 듯 싶다.

Q6. 인터넷뱅킹 이슈는 어떻게 해석해야 하는지 애매하다. 국내 인터넷 뱅킹 보안수준은 어느정도일까?

DDOS 공격은 내부로 뚫고 들어가지는 않는다. 내부 정보 유출은 없었다고 지금까지는 생각하고 있다. 이번 일은 서비스 장애가 좀 생긴 경우다. 현재로서는 DDOS 그 자체에 포커스를 해야 할 것이라고 본다. 중요한 것은 그 대응체제다. 이 부분이 어디가 잘 되었는지가 장애에 영향을 줬던 듯 싶다.

Q7. 대응 프로세스에 크게 개선된 것이 없어 보인다. 과거 사례와 지금 사례를 비교해달라. 또 정부차원에서 개선될 부분은 무엇일까?

1.25 인터넷 대란과 이번과의 차이점은, 1.25는 서버에서 웜에 의해 생긴 것이라 급작스러운 것이었다. 공격이나 타겟이 없었다. 이번에는 공격이나 타겟이 상대적으로 명확했다. 네트워크 레벨이 강화되면서, 1.25 인터넷 대란 때 노출된 문제점들이 많이 개선되었다. 그러나 이번처럼 엔드포인트 레벨에서 이루어지는 일은 아직 미흡한 부분이 있다.

DDOS 사태가 지나고 PC들을 수리하면서 보면 중소기업이나 개인처럼 백신이 없거나 깔려도 허위백신 깔고 있거나 업데이트 안했거나가 대부분의 경우였다. 이 부분에서는 개인의 인지도가 많이 좋아져야 한다.

인력 부분이 아마도 제일 중요하다. 보안전문인력이 고위직 레벨까지 올라오기 힘들다. 안철수연구소에서 사람을 키워놨더니 다른 분야 기업에서 많이 데려갔다.

여전히 보안업체들이 공익성을 가지고 일해야 되는 상황이다. 인력양성에 대해서는 10년전부터 얘기했지만, 되려 줄고 있는 상황이다. 국내 보안인지도의 문제점은 톱레벨에서 결정해줘야 하는데, 이 부분은 사고 안나기만 기대하지 하고 싶어 하지는 않는 일에 머무른다.

기업 보안담당자가 할 수 있는 것은 장비 도입 정도다. 보안은 정책 등 여러 분야 건드려야 하는데, 이를 양성하겠다는 인식이 없다. 많은 IT 인력들이 보안분야는 3D보다 더 낙후된 것으로 치부하고 있다. 선진국에서는 보안인력이 캐리어도 가장 좋고, 전문성도 높게 평가받는 상황이지만, 한국은 아니다. 대응체제 등을 정부와 상의를 하겠지만, 인력 양성에 포커스 맞추는 게 절실하다는 게 주된 생각이다.

Q8. 보안업체들이 내놓은 보도자료를 보면 '최고', '최초'라는 수식어 자주 사용했다. 보안업체들끼리 공조하면서 협업을 많이 해야 되지 않을까?

예전에는 선의의 경쟁에 의한 서로간의 정보공유가 있었다. 이번 DDOS 사태에 대해서는 안철수연구소에서 정보공유를 정책으로 삼아 정보를 제공했는데, 이번 일만큼은 경쟁사에 얻은 정보활용을 못했다. 정부와는 공유가 가능했는데, 경쟁사들과 정보공유가 이루어지지는 못했다. 국내 보안수준이 낮아서 그런 것 같은데, 이 부분은 개인적으로 아쉽게 생각한다.

Q9. 정부대응이 안랩만 못했다는 인상이다. 정부에서 요청, 요구하면 진원지 파악에 협력할 의향이 있는가?

현재 분석을 하면서 찾지 못한 것이 몇 가지 있다. 이 부분은 정부와 공조해 배포지를 찾을 것이다.